오픈 소스 보안 도구
Falco: 컨테이너에 대한 런타임 위협 감지
Falco는 시스템 호출을 감시하는 CNCF 런타임 보안 도구입니다. 규칙은 절대 발생해서는 안 되는 동작(nginx에서 생성된 쉘, /etc/shadow를 읽는 사람, 호스트 파일 시스템을 마운트하는 컨테이너)을 설명하며, Falco는 이러한 동작이 발생하는 순간 경고합니다. 이는 이미지 스캐닝과 대응됩니다. Trivy 클래스 도구는 배포 전에 알려진 취약점을 포착하고 Falco는 실행 중에 잘못된 동작을 포착합니다.
핵심 내용
- 데이터 소스는 syscall입니다. 커널 모듈 또는 최신 eBPF 드라이버는 Kubernetes 배포 메타데이터와 같은 컨테이너 인식 필드를 포함하여 프로세스/컨테이너 컨텍스트(이미지, 네임스페이스, 사용자, syscall 인수)와 규칙이 일치하는 이벤트 스트림을 제공합니다. 이 syscall 수준 렌즈는 로그 기반 감지가 놓친 것이 무엇인지 확인합니다.
- 기본 규칙은 권한 있는 컨테이너 시작, 민감한 파일 읽기, 리버스 셸, 컨테이너 내부의 예상치 못한 네트워크 도구, 마운트 아래 쓰기 및 알려진 컨테이너 런타임 형제 생성과 같은 고전적인 컨테이너 이스케이프 클래스를 다룹니다. 기본 세트는 자산별로 조정되는 시작 기준선입니다.
- 규칙은 서명이 아닌 YAML 및 시스템 호출입니다. 업데이트할 CVE 피드가 없습니다. 대신 'spawned_process 및 proc.name in (shellkit 바이너리)'과 같은 동작 정책은 자산의 기대치를 표현합니다. 튜닝 스토리는 서명별이 아닌 클래스 수준(바이너리 쓰기 및 읽기)입니다.
- 출력은 플러그인 기반입니다. stdout, syslog, Slack, 오케스트레이터에 대한 웹후크 및 주요 최신 통합(Falco Talon급 자동 응답) 대부분의 자산은 Wazuh(전용 기사)와 동일한 SIEM에서 경고를 지정하므로 런타임 및 엔드포인트 경고가 상호 연관됩니다.
- 배포 형태는 다음과 같은 자산과 일치합니다. Kubernetes의 daemonset(최신 커널의 eBPF 드라이버), 독립 실행형 Docker 호스트의 경우 호스트 기반; 리소스 공간은 적당하지만 10G 노드 클래스 커널에서는 흔들립니다. 이는 eBPF 프로브가 커널 버전 및 배포판과 밀접하게 연결되어 있기 때문에 중요합니다.
- 보안 도구 세트의 정직한 입장: Falco는 위법 행위를 감지하지만 이를 예방하지는 않습니다. 이미지 스캐닝(Trivy), 허용 정책(Kubernetes 보안 컨텍스트/조정 도구) 및 네트워크 제어와 결합합니다. 오전 3시에 포착된 침해 사고는 아무도 읽지 않은 스캔 보고서보다 더 가치가 있습니다.
현장 노트
클라이언트 클러스터에 대한 Falco의 첫 번째 특징은 셸과 함께 제공되는 디버깅 이미지와 누군가 습관적으로 이를 프로덕션 환경에서 사용한 것입니다. CVE 없음, 스캐너 적중 없음, 순수한 동작. 실행된 규칙은 우리가 조정하려고 했던 기본값이었습니다. 기본값은 때때로 큰 소리로 유지됩니다.
자주 묻는 질문
Falco와 상업용 CNDR 제품?
Falco는 커뮤니티가 소유한 규칙 형식을 사용하여 오픈 소스로 syscall 감지 코어를 다룹니다. 상용 도구에는 UI, ML 이상 모델 및 관리형 응답 워크플로가 추가되며 많은 자산에서 syscall 계층을 위해 Falco를 함께 실행합니다.
Falco는 스캐너가 놓친 무엇을 포착합니까?
런타임 동작: 셸을 생성하는 데 사용된 손상된 자격 증명, 읽어서는 안 되는 비밀을 읽는 컨테이너, 웹 계층에서 Kubernetes 클러스터로의 피벗 스캐너는 배송된 내용을 검사하고 Falco는 무슨 일이 일어나는지 관찰합니다.
eBPF는 필수인가요?
eBPF 드라이버는 최신 기본값이며 커널 모듈 유지 관리를 방지합니다. 이전 커널을 위한 레거시 커널 모듈이 존재하며, syscall 소스 플러그인은 Falco를 Linux 호스트 이상으로 확장합니다.
기본 규칙은 얼마나 시끄럽습니까?
특히 배치 중에 특이한 도구가 있는 부지에서는 시끄러운 경우가 많습니다. 경고가 자동 배경 소음 대신 작동 가능하게 차가워지기 전 첫 주 동안 실제 조정 주기(네임스페이스별 예외 규칙)를 예상합니다.
오픈 소스 보안 도구에 대한 Kinetikatech의 지원
저희는 이것을 수백 번 처리했습니다: 테스트 도구 상자 전문가들은 실제로 계속 로드됩니다. 스캐너, 스니퍼, 크래커 및 웹 프록시는 실제 참여에서 사용되는 방식(명령, 플래그, 출력 및 방법론에서 각각의 위치)을 설명했습니다. 모의해킹 및 Linux 서버 보안와 함께하면 평가, 구현, 24시간 연중무휴 모니터링, 그리고 중요한 때에 30분 이내 대응이라는 완전한 사이클을 제공합니다.